GDPR för bemanningsbolag – praktisk guide till kandidater, anställda och kunddata

Få branscher hanterar så mycket känslig persondata med så små administrationer som bemanningen: tusentals CV:n, personnummer, bankkonton, löner, sjukfrånvaro – och alltihop flödar dessutom mellan er, kunderna och myndigheterna. Det här är ingen juridisk avhandling utan en praktisk genomgång: vad ni måste ha på plats, var bemanningsbolag brukar fela, och vilka rutiner som faktiskt håller. (Och nej – det är inte juridisk rådgivning; i tveksamma fall, fråga en jurist.)

Er datakarta: tre sorters människor, tre olika regler

Ett bemanningsbolags personuppgifter faller i tre grupper med olika livscykler:

1. Kandidater – den stora volymen och den största risken

CV:n, ansökningar, intervjuanteckningar, kanske testresultat. Rättslig grund är normalt intresseavvägning under pågående rekrytering – men när rekryteringen är stängd tar den grunden slut. Vill ni behålla kandidaten i er databas för framtida uppdrag behöver ni samtycke, och ett samtycke ska vara aktivt, dokumenterat och lätt att återkalla.

Här ligger branschens vanligaste GDPR-miss: kandidatdatabasen som aldrig gallras. Tumregeln är att ansökningshandlingar sparas så länge de behövs för rekryteringen plus den tid en diskrimineringstalan kan väckas (två år är en vanlig bortre gräns) – därefter ska de raderas eller anonymiseras, om inte kandidaten samtyckt till fortsatt lagring. "Vi kanske behöver CV:t någon gång" är inte en rättslig grund.

2. Anställda och konsulter – det känsligaste innehållet

Personnummer, bankkonto, lön, tidrapporter, sjukfrånvaro, ibland uppgifter om löneutmätning eller facklig tillhörighet. Rättslig grund är i huvudsak anställningsavtalet och rättsliga förpliktelser (bokföringslagen, skattelagstiftningen, AGI). Notera konflikten inbyggd i reglerna: löneunderlag ska enligt bokföringslagen sparas i sju år, medan uppgifter utan rättslig förpliktelse ska bort snarast – gallring är alltså inte "radera allt efter X år" utan olika klockor för olika fält.

Sjukfrånvaro räknas som hälsouppgift – en särskild kategori. Ni får hantera den för att uppfylla arbetsrättsliga skyldigheter (sjuklön, karensavdrag), men den ska synas av så få som möjligt: kundens arbetsledare behöver veta att konsulten är frånvarande, inte varför.

3. Kundernas kontaktpersoner – enklast, men glöms bort

Namn, mail och telefon till inköpare och arbetsledare hanteras normalt med stöd av intresseavvägning i affärsrelationen. Riskerna är små – men de ska ändå med i er registerförteckning, och en kontaktperson som slutat hos kunden ska inte leva kvar i era utskickslistor i tio år.

Rollerna: när är ni ansvariga och när är ni biträde?

I normalfallet är bemanningsbolaget personuppgiftsansvarigt för sina kandidater och anställda – det är er verksamhet och era ändamål, även när konsulten arbetar hos kund. Kunden är i sin tur ansvarig för det som sker i kundens egen arbetsledning. Ni är alltså oftast två parallella ansvariga, inte ansvarig och biträde – men skriv gärna in i uppdragsavtalet vem som ansvarar för vad, så slipper ni diskussionen när någon begär registerutdrag.

Biträdesrollen uppstår åt andra hållet: er systemleverantör (och er lönebyrå, och er hostingpartner) behandlar personuppgifter för er räkning och ska ha ett personuppgiftsbiträdesavtal (PUB-avtal) med er. Det är ett lagkrav enligt artikel 28 – en leverantör som inte har ett färdigt PUB-avtal att signera är en varningsflagga i sig.

Där bemanningsbolag brukar fela

• CV:n i mailen. Ansökningar som vidarebefordras till kunder och arbetsledare per mail går inte att gallra – de lever kvar i tiotals inkorgar utanför er kontroll. Skicka en länk till en profil i ert system i stället; då finns uppgiften på ett ställe och försvinner när den gallras.
• Kalkylark med personnummer. Löneunderlag i Excel som mailas till byrån, sparas i Nedladdningar och delas i molnet. Varje kopia är en kopia ni glömt att ni har – och den dyker upp i nästa dataintrång, inte i er riskanalys.
• Alla ser allt i systemet. Behörigheter är GDPR i praktiken: en konsultchef behöver kandidaterna, inte allas löner och bankkonton. Kräv rollstyrda behörigheter av ert system – och använd dem.
• Gallring som policy men inte som funktion. En rutin som kräver att någon kommer ihåg att radera körs aldrig. Gallringen ska vara automatisk, med logg.
• Data utanför EU utan att veta om det. Frågan är inte var leverantören har sitt säte utan var datan faktiskt lagras och vilka underbiträden som har åtkomst. Fråga, och få det på papper.

Vad ni ska kräva av ert system

Er GDPR-efterlevnad är i praktiken lika bra som systemet den bor i. Kravlistan:

• Lagring inom EU, dokumenterat – och PUB-avtal från leverantören
• Rollstyrda behörigheter: den som inte behöver se personnummer och löner ser dem inte
• Automatisk gallring/anonymisering av kandidater efter er valda tid
• Möjlighet att exportera en persons alla uppgifter (registerutdrag) och att radera på begäran
• Kryptering (HTTPS överallt) och loggning av känsliga händelser – vem såg vad, när
• Självservice: den anställde fyller själv i personnummer och konto via säker länk – uppgifterna ska aldrig behöva åka i sms eller mail

Det här hänger ihop med systemvalet i stort – se guiden till affärssystem för bemanningsföretag.

Om det ändå smäller: incidenten

Ett borttappat konto, ett mail till fel mottagare, ett intrång. Klockan startar vid upptäckten: inom 72 timmar ska en anmälan till Integritetsskyddsmyndigheten göras om incidenten innebär risk för de registrerade, och vid hög risk ska de drabbade informeras. Det ni behöver ha förberett är inte juridiken utan logistiken: vem bedömer, vem anmäler, var finns loggarna som visar vad som läckte. En incident med ordnad hantering är en fotnot; samma incident med panik och tystnad är ett tillsynsärende.

Så gör vi själva

Bemanno driver ett bemanningsbolag och hanterar exakt de här uppgifterna dagligen – därför är GDPR-funktionerna inbyggda, inte tillbyggda: er data på egen server inom EU, rollstyrda behörigheter där känsliga fält bara syns för den som ska se dem, automatisk kandidatgallring, självservice där den anställde själv fyller i sina uppgifter via säker länk, och full export den dag ni vill lämna. PUB-avtal ingår. Priser och villkor står öppet här.

Vanliga frågor

Hur länge får vi spara CV:n?

Så länge rekryteringen pågår plus tiden en diskrimineringstalan kan väckas – två år är en vanlig bortre gräns. Därefter raderas eller anonymiseras handlingarna, om inte kandidaten aktivt samtyckt till fortsatt lagring.

Behöver vi PUB-avtal?

Ja, med varje leverantör som behandlar personuppgifter för er räkning – systemleverantör, lönebyrå, hosting. Lagkrav enligt artikel 28.

Vem är ansvarig när konsulten jobbar hos kund?

Ni – för era anställdas uppgifter, även under uthyrning. Kunden ansvarar för sin egen arbetsledning. Två parallella ansvariga; reglera fördelningen i uppdragsavtalet.

Vad gör vi vid en incident?

Anmäl till IMY inom 72 timmar från upptäckt om incidenten innebär risk för de registrerade, och informera de drabbade vid hög risk. Förbered vem som bedömer, vem som anmäler och var loggarna finns.